CISP课程培训知识总结课件.pptx

1、CISP课程培训知识总结机构名称讲师姓名2CISP课程培训知识总结（安全综合）主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准4课程内容5信息安全发展阶段6COMSEC通信安全COMPUSEC计算机安全INFOSEC信息系统安全IA信息安全保障CS/IA网络空间安全/信息安全保障通信安全20世纪，4070年代搭线窃听、密码学分析加密计算机安全20世纪，70-90年代非法访问、恶意代码、脆弱口令等安全操作系统设计技术（TCB）信息系统安全20世纪，90年代

2、后网络入侵、病毒破坏、信息对抗等防火墙、防病毒、漏洞扫描、入侵检测、PKI、VPN等信息安全保障今天，黑客、恐怖分子、信息战、自然灾难、电力中断等技术安全保障体系、安全管理体系、人员意识/培训/教育、认证和认可网络安全空间/信息安全保障2009年开始国家安全的高度网络防御网络攻击网络利用 信息系统安全保障是在信息系统的整个生命周期中，通过对信息系统的风险分析，制定并执行相应的安全保障策略，从技术、管理、工程和人员等方面提出安全保障要求，确保信息系统的保密性、完整性和可用性，降低安全风险到可接受的程度，从而保障系统实现组织机构的使命。信息安全保障定义7国家标准：GB/T 20274.1-2019

3、 信息安全技术 信息系统安全保障评估框架 第一部分：简介和一般模型 信息系统安全保障模型8 P2DR策略、防护、检测、响应 P2DR模型则更强调控制和对抗，即强调系统安全的动态性 以安全检测、漏洞监测和自适应填充“安全间隙”为循环来提高网络安全 特别考虑人为的管理因素分布式动态主动模型P2DR模型9技术操作深度防御战略深度防御战略人 人人 通过通过 技术技术 进行进行 操作操作计算环境 区域边界网络基础设施支撑性基础设施密钥管理检测响应成功的组织功能成功的组织功能信息安全保障（信息安全保障（IA）IATF框架10 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安

4、全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准1112课程内容12国家信息安全保障工作总体要求 坚持积极防御、综合防范的方针，全面提高信息安全的防护能力，重点保障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全。13信息安全保障工作的主要原则 立足国情，以我为主，坚持管理与技术并重；正确处理安全与发展的关系，以安全保发展，在发展中求安全；统筹规划，突出重点，强化基础性工作；明确国家、企业、个人的责任和义务，充分发挥各方面的积极性，共同构筑国家信息安全保障体系。14国家信息安全

5、保障重点工作1.实行信息安全等级保护2.加强以密码技术为基础的信息保护和网络信任体系建设3.建设和完善信息安全监控体系4.重视信息安全应急处理工作5.加强信息安全技术研究开发，推进信息安全产业发展6.加强信息安全法制建设和标准化建设7.加快信息安全人才培训，增强全民信息安全意识8.保证信息安全资金9.加强对信息安全保障工作的领导，建立健全信息安全管理责任制1516制定信息安全保障需求的作用制定信息安全保障需求的作用制定信息系统安全保障需求的方法和原则制定信息系统安全保障需求的方法和原则信息安全保障解决方案信息安全保障解决方案确定安全保障解决方案的原则确定安全保障解决方案的原则实施信息安全保障解

6、决方案的原则实施信息安全保障解决方案的原则信息安全测评信息安全测评信息安全测评的重要性信息安全测评的重要性国内外信息安全测评现状国内外信息安全测评现状产品、人员、服务商、系统测评的方法和流程产品、人员、服务商、系统测评的方法和流程持续提高信息系统安全保障能力。持续提高信息系统安全保障能力。信息系统安全监护和维护信息系统安全监护和维护确定需求制定方案开展测评持续改进信息系统安全保障工作建设步骤信息系统安全保障工作建设步骤1617国家信息安全测评主要对象v 信息产品安全测评v 信息系统安全测评v 服务商资质测评v 信息安全人员资质测评17 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息

7、安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准18三、信息安全管理体系19信息安全管理20v什么是信息安全管理什么是信息安全管理n组织中为了完成信息安全目标信息安全目标，针对信息系统信息系统，遵循安全策略，按照规定的程序，运用恰当的方法，而进行的规划、组织、指导、协调和控制规划、组织、指导、协调和控制等活动n信息安全管理工作的对象规则人员目标组织信息输入立法摘要变化？关键活动关键活动测量拥有者资 源记录标 准输入输出生 产经 营过程安全风险的基本概念 威胁威胁v 资威胁是可能导致信息安全事故和组织信息资产损失

8、的环境或事件v 威胁是利用脆弱性来造成后果v威胁举例v 黑客入侵和攻击病毒和其他恶意程序v 软硬件故障人为误操作v盗窃网络监听v供电故障后门v未授权访问自然灾害如：地震、火灾21安全风险的基本概念 脆弱性脆弱性v 是与信息资产有关的弱点或安全隐患。v 脆弱性本身并不对资产构成危害，但是在一定条件得到满足时，脆弱性会被威胁加以利用来对信息资产造成危害。v脆弱性举例v 系统漏洞程序Bugv 专业人员缺乏不良习惯v 缺少审计缺乏安全意识v 后门v 物理环境访问控制措施不当22信息安全的风险模型23没有绝对的安全，只有相对的安全信息安全建设的宗旨之一，就是在综合考虑成本与效益的前提下，通过恰当、足够、

9、综合的安全措施来控制风险，使残余风险降低到可接受的程度。风险评估是信息安全管理的基础 风险评估主要对ISMS范围内的信息资产进行鉴定和估价，然后对信息资产面对的各种威胁和脆弱性进行评估，同时对已存在的或规划的安全控制措施进行界定。信息安全管理体系的建立需要确定信息安全需求 信息安全需求获取的主要手段就是安全风险评估 信息安全风险评估是信息安全管理体系建立的基础，没有风险评估，信息安全管理体系的建立就没有依据。24信息安全管理体系的定义v信息安全管理体系（ISMS：Information Security Management System）是组织在整体或特定范围内建立的信息安全方针和目标，以及

10、完成这些目标所用的方法和体系。它是直接 管理活动的结果，表示为方针、原则、目标、方法、计划、活动、程序、过程和资源的集合。25信息安全管理的特点v明确建立管理体系的工作 确定范围，制定信息安全方针，明确管理职责，以风险评估为基础选择控制目标和措施v管理体系建立有依据 基于系统、全面、科学的安全风险评估，体现以预防控制为主的思想，强调遵守国家有关信息安全的法律、法规及其他合同方面的要求v强调过程和动态控制 控制费用与风险平衡的原则合理选择安全控制方式26信息安全管理体系作用 保护资产 对组织的关键信息资产进行全面系统的保护，维持竞争优势；保护业务持续性 在信息系统受到侵袭时，确保业务持续开展并将

11、损失降到最低程度；促进规范 促使管理层贯彻信息安全管理体系，强化员工的信息安全意识，规范组织信息安全行为；提高信心 使组织的生意伙伴和客户对组织充满信心；27信息安全管理体系的理念技术因素人的因素管理因素28在信息安全问题上，要综合考虑人员与管理、技术与产品、流程与体系。信息安全管理体系是人员、管理与技术三者的互动。ISO 27000系列2927001ISMS要求27004 ISMS度量指标和衡量27002 ISMS实践准则27001的附录A将两者联系起来，作为ISMS过程的一部分测量ISMS控制措施的性能和有效性的要求将两者联系起来27000：ISMS基础和词汇30v正在启动的新标准项目；v

12、它将主要以ISO/IEC 13335-1:2019信息和通信技术安全管理第1部分：信息和通信技术安全管理的概念和模型为基础进行研究；v该标准将规定27000系列标准所共用的基本原则、概念和词汇。27001：信息安全管理体系要求31v2019年10月15日发布；v规定了一个组织建立、实施、运行、监视、评审、保持、改进信息安全管理体系的要求；v基于风险管理的思想，旨在通过持续改进的过程（PDCA模型）使组织达到有效的信息安全；v使用了和ISO 9001、ISO 14001相同的管理体系过程模型；v是一个用于认证和审核的标准；27002：信息安全管理实用规则32v即17799，2019年6月15日发

13、布第二版；v包含有11个安全类别、39个控制目标、138个控制措施；v实施27001的支撑标准，给出了组织建立ISMS时应选择实施的控制目标和控制措施集；v是一个行业最佳惯例的汇总集，而不是一个认证和审核标准；27003：ISMS实施指南33v目前处于工作草案阶段；v它主要以BS 7799-2:2019附录B的内容为基础进行制定；v提供了27001具体实施的指南。27004：信息安全管理度量34v旨在为组织提供一个如何通过使用度量、测量项以及合适的测量技术来评估其安全管理状态的指南。27005：信息安全风险管理35v目前处于委员会草案阶段；v它将主要以ISO/IEC 13335-2为基础进行制

14、定；v描述了信息安全风险管理的过程及每个过程的详细内容。信息安全管理体系建设v（一）信息安全管理体系的规划和建立（P)v（二）信息安全管理体系的实施和运行(D)v（三）信息安全管理体系的监视和评审(C)v（四）信息安全管理体系的保持和改进(A)36信息安全管理体系循环框架37GB/T22080-2019 信息安全技术 信息安全管理体系要.信息安全管理体系是PDCA动态持续改进的一个循环体。相关方信息安全要求和期望相关方受控的信息安全3、信息安全管理体系文档框架38信息安全管理体系规划和建立vP1-定义ISMS范围vP2-定义ISMS方针vP3-确定风险评估方法vP4-分析和评估信息安全风险vP

15、5-识别和评价风险处理的可选措施vP6-为处理风险选择控制目标和控制措施vP7-准备详细的适用性声明SoA39信息安全管理控制规范v 十一项条款（一）信息安全策略（二）信息安全组织（三）人力资源安全（四）信息资产分类与控制（五）信息安全访问控制（六）物理与环境安全（七）系统开发与维护（八）通信与运营安全（九）信息安全事故管理（十）业务持续性管理（十一）符合性40 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准4142四、四、信息安全风险管理信息安全风险

16、管理通用风险管理定义 定义 是指如何在一个肯定有风险的环境里把风险减至最低的管理过程。风险管理包括对风险的量度、评估和应变策略。理想的风险管理，是一连串排好优先次序的过程，使引致最大损失及最可能发生的事情优先处理、而相对风险较低的事情则押后处理。43什么是信息安全风险管理 定义一：GB/Z 24364信息安全风险管理指南 信息安全风险管理是识别、控制、消除或最小化可能影响系统资源的不确定因素的过程。定义二：在组织机构内部识别、优化、管理风险，使风险降低到可接受水平的过程。44何时作风险管理 信息安全风险管理是信息安全保障工作中的一项基础性工作 是需要贯穿信息系统生命周期，持续进行的工作规规划划

17、设设计计实实施施运运维维废废弃弃45信息安全风险术语 资产（Asset）威胁源（Threat Agent）威胁（Threat）脆弱性（Vunerability）控制措施（Countermeasure,safeguard,control）可能性（Likelihood,Probability）影响（Impact,loss）风险（Risk）残余风险（Residental Risk）46信息安全风险管理工作内容监控审查监控审查沟通咨询沟通咨询v GB/Z 24364信息安全风险管理指南 四个阶段，两个贯穿。-47信息系统风险评估 风险评估的政策要求 风险评估的流程48 准备准备 识别识别 计算计算 报

18、告报告 一个简化的风险评估流程：准备（Readiness）、识别（Realization）、计算（Calculation）、报告（Report）识别 n 资产 n 威胁 n 漏洞 准备 n 资料审核 n SLA n 工作计划 n 组队 计算 n 威胁概率 n 事件影响 n 风险定级 报告 n 整改建议 n 各类文档 49风险分析 GB/T 20984-2019 信息安全风险评估规范给出信息安全风险分析思路 50风险值=R（A，T，V）=R(L(T，V)，F(Ia，Va)。其中，R表示安全风险计算函数；A表示资产；T表示威胁；V表示脆弱性；Ia表示安全事件所作用的资产价值；Va表示脆弱性严重程度

19、；L表示威胁利用资产的脆弱性导致安全事件的可能性；F表示安全事件发生后造成的损失。方法方法优点优点缺点缺点定性定性1.简易的计算方式简易的计算方式2.不必精确算出资产价值不必精确算出资产价值3.不需得到量化的威胁发生率不需得到量化的威胁发生率4.非技术或非安全背景的员工也能轻非技术或非安全背景的员工也能轻易参与易参与5.流程和报告形式比较有弹性流程和报告形式比较有弹性1.本质上是非常主观的本质上是非常主观的2.对关键资产的财务价值评估对关键资产的财务价值评估参考性较低参考性较低3.缺乏对风险降低的成本分析缺乏对风险降低的成本分析定量定量 1.结果建立在独立客观的程序或量化结果建立在独立客观的程

20、序或量化指标上指标上2.大部分的工作集中在制定资产价值和大部分的工作集中在制定资产价值和减缓可能风险减缓可能风险3.主要目的是做成本效益的审核主要目的是做成本效益的审核1.风险计算方法复杂风险计算方法复杂2.需要自动化工具及相当的基需要自动化工具及相当的基础知识础知识3.投入大投入大4.个人难以执行个人难以执行定量分析与定性分析51定量分析方法 步骤1-评估资产：根据资产价值（AV）清单,计算资产总价值及资产损失对财务的直接和间接影响 步骤2-确定单一预期损失SLE SLE 是指发生一次风险引起的收入损失总额。SLE 是分配给单个事件的金额，代表一个具体威胁利用漏洞时将面临的潜在损失。（SLE

21、 类似于定性风险分析的影响。）将资产价值与暴露系数相乘(EF)计算出 SLE。暴露系数表示为现实威胁对某个资产造成的损失百分比。步骤3-确定年发生率ARO ARO 是一年中风险发生的次数.52定量分析方法（续）步骤4-确定年预期损失ALE ALE 是不采取任何减轻风险的措施在一年中可能损失的总金额。SLE 乘以 ARO 即可计算出该值。ALE 类似于定量风险分析的相对级别。步骤5-确定控制成本 控制成本就是为了规避企业所存在风险的发生而应投入的费用.步骤6-安全投资收益ROSI(实施控制前的 ALE）（实施控制后的 ALE）（年控制成本）=ROSI53 主 题一、信息安全保障基本知识二、信息安

22、全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准54五、基本安全管理措施55安全管理安全管理措施措施知识体知识体知识域知识域基本安全基本安全管理措施管理措施重要安全重要安全管理过程管理过程知识子域知识子域安全策略安全策略人员安全管理人员安全管理访问控制访问控制物理与环境安全物理与环境安全系统获取、开发和维护系统获取、开发和维护通信及操作管理通信及操作管理安全组织机构安全组织机构资产管理资产管理符合性管理符合性管理信息安全信息安全事件事件管理管理与应急响应与应急响应业务连续性管理业务连续性管理与

23、灾难恢复与灾难恢复什么是控制措施v什么是控制措施 管理风险的方法。为达成企业目标提供合理保证，并能预防、检查和纠正风险。它们可以是行政、技术、管理、法律等方面的措施。控制措施的分类：11项控制规范 预防性控制 检查性控制 纠正性控制56基本安全管理措施 安全策略 安全策略目标：提供与业务需求和法律法规相一致的管理指示及支持 信息安全组织 组织目标 组织工作内容 人员安全管理 目标：雇佣前、雇佣中、解聘与变更 资产 资产责任、信息分类57基本安全管理措施 物理和环境安全 目标：安全区域、设备安全 通信和操作管理 目标：网络安全管理、介质处理和安全、信息和软件的交换、电子商务服务、监督 访问控制

24、符合性 法律符合性 组织策略符合性58 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准59六、重要信息安全管理过程安全管理安全管理措施措施知识体知识体知识域知识域基本安全基本安全管理措施管理措施重要安全重要安全管理过程管理过程知识子域知识子域安全策略安全策略人员安全管理人员安全管理访问控制访问控制物理与环境安全物理与环境安全系统获取、开发和维护系统获取、开发和维护通信及操作管理通信及操作管理安全组织机构安全组织机构资产管理资产管理符合性管理符合性管理信

25、息安全信息安全事件事件管理管理与应与应急响应急响应业务连续性管理业务连续性管理与灾难恢复与灾难恢复信息系统购买 安全信息系统购买流程需求需求分析分析市场市场招标招标评标评标选择选择供应商供应商签订签订合同合同系统系统实施实施系统系统运维运维61基本概念62应急响应计划（应急响应计划（Emergency Response PlanEmergency Response Plan）是指在突发/重大信息安全事件后对包括计算机运行在内的业务运行进行维持或恢复的策略和规程。信息安全应急响应计划的制定是一个周而复始、持续改进的过程，包含以下几个阶段：（1）应急响应需求分析和应急响应策略的确定；（2）编制应急

26、响应计划文档；（3）应急响应计划的测试、培训、演练和维护。应急响应六阶段63第一阶段：准备第一阶段：准备让我们严阵以待让我们严阵以待第二阶段：确认第二阶段：确认对情况综合判断对情况综合判断第三阶段：遏制第三阶段：遏制制止事态的扩大制止事态的扩大第四阶段：根除第四阶段：根除彻底的补救措施彻底的补救措施第五阶段：恢复第五阶段：恢复系统恢复常态系统恢复常态第六阶段：跟踪第六阶段：跟踪还会有第二次吗还会有第二次吗准备准备确认确认遏制遏制根除根除恢复恢复跟踪跟踪信息安全应急响应计划编制方法64总则角色及职责预防和预警机制应急响应流程应急响应保障措施附件总则总则角色及角色及职责职责预防和预防和预警机预警机

27、制制应急响应急响应流程应流程应急响应急响应保障应保障措施措施附件附件计算机取证的步骤65准备保护提取分析提交灾难恢复相关概念 什么是灾难 备份与恢复 灾难恢复规划与灾难恢复预案 业务连续性规划与业务连续性管理 RPO（恢复点目标）/RTO（恢复时间目标）66灾难恢复建设流程67灾难恢复规划的过程阶段业务影响分析制定恢复策略灾难恢复策略的实现灾难恢复预案的制定、落实和管理分析业务分析业务功能和相功能和相关资源配关资源配置置评估中断评估中断影响影响确定灾难恢确定灾难恢复资源获取方复资源获取方式式确定灾难恢确定灾难恢复等级的要素复等级的要素要求要求正式文档化正式文档化灾难备份中心灾难备份中心的选择和

28、建设的选择和建设灾难备份系统灾难备份系统技术方案的实技术方案的实现现技术支持能力技术支持能力的实现的实现运行维护能力运行维护能力的实现的实现灾难恢复预案灾难恢复预案的制订的制订灾难恢复预案灾难恢复预案的教育、培训的教育、培训和演练和演练灾难恢复预案灾难恢复预案的管理的管理风险分析标识资产标识资产标识威胁标识威胁标识脆弱标识脆弱性性标识现有标识现有控制控制定量定量/定定性风险分性风险分析析灾难恢复需求分析灾难恢复需求分析灾难恢复策略灾难恢复策略制定制定灾难恢灾难恢复预案复预案制定和制定和管理管理灾难恢复策略灾难恢复策略实现实现确定灾难恢复目标关键业务关键业务功能及恢功能及恢复的优先复的优先级级R

29、TO/RPO的范围的范围68灾难恢复等级划分国家标准信息安全技术信息系统灾难恢复规范（GB/T 20988）69 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准70七、信息安全工程71安全工程原理知识体知识域安全工程理论背景安全工程能力成熟度模型知识子域质量管理基础能力成熟度模型基础系统工程与项目管理基础SSE-CMM体系与原理安全工程过程区域安全工程能力评价学习目标 理解信息安全建设必须同信息化建设“同步规划、同步实施”的原则 理解如何运用信息安全能

30、力成熟度模型理论评价和改进信息安全工程能力信息安全工程可以参考的理论基础 系统工程思想 项目管理方法 质量管理体系 能力成熟度模型73系统工程基础 霍尔三维结构图系统指标设计知识维（专业、行业）逻辑维（工作步骤）时间维（阶段、进程）工程技术医学社会科学规划计划系统开发制造安装运行更新明确问题系统综合系统分析决策最优化实施计划74能力成熟度模型的来由 由质量管理工作发展出的概念“过程改进”，即增加工作过程的能力 随着过程能力的提高，过程变得可预测和可度量，控制或消除造成质量低劣和生产率不高 需要一个结构化的架构来指导一个组织的过程改进，即能力成熟度模型75能力成熟度模型的概念 CMM Capab

31、ility Maturity Model 现代统计过程控制理论表明通过强调生产过程的高质量和在过程中组织实施的成熟性可以低成本地生产出高质量产品；所有成功企业的共同特点是都具有一组严格定义、管理完善、可测可控从而高度有效的业务过程；CMM模型抽取了这样一组好的工程实践并定义了过程过程的“能力”；76SSE-CMM体系结构能力维（Capability Dimension）域维（Domain Dimension）公共特征2.4跟踪执行PA 05评估脆弱性两维模型：“域维”由所有定义的安全工程过程区构成。“能力维”代表组织实施这一过程的能力。77SSE-CMM的主要概念 过程区域（PA，Proces

32、s Area）过程的一种单位单位 是由一些基本实施（BP，Base Practice）组成的，这些BP共同实施以达到该PA的目标。这些BP是强制性的，只有全部成功执行，才能满足PA规定的目标；SSE-CMM包含三类过程区域：工程、项目和组织三类；78域维过程类域维Base PracticesBase PracticesBase PracticesBase PracticesBase Practices基本实施Process AreasProcess AreasProcess Areas过程区BP,Base Practice。域维的最小单位。如果选择执行其所属的PA，则必须执行它。共129个PA

33、，Process Area由一些基本实施构成，这些BP共同实施以达到该PA的目标。共22个PA被分为安全工程类、组织管理类和项目管理类 SSE-CMM的主要概念 过程能力（Process Capability）一个过程是否可以达到预期效果的度量方法，即执行一个过程的成熟度级别划分；过程能力可帮助组织预见达到过程目标的能力，如果一个组织某个过程的能力级别低，意味着完成该过程投入的成本，实现的进度、功能和质量都是不稳定的；或者说过程能力越高则达到预定的成本、进度、功能和质量目标的就越有把握80能力维能力维能力级别GP，Generic Practice 管理、度量和制度方面的活动，可用于决定所有活动

34、的能力水平CF，Common Feature由GP组成的逻辑域由公共特征组成的过程能力水平的级别划分。0-5共6个级别公共特征通用实践SSE-CMM能力成熟度评价 通过设置这两个相互依赖的维，SSE-CMM在各个能力级别上覆盖了整个安全活动范围。给每个PA赋予一个能力级别评分，所得到的两维图形便形象地反映一个工程组织整体上的系统安全工程能力成熟度，也间接的反映其工作结果的质量及其安全上的可信度。543210PA01PA02PA03PA04PA05能力级别安全过程区域82域维-22个PA分成三类 系统安全工程涉及到三类过程区域PA 工程过程区域（Engineering PA）组织过程区域（Org

35、anization PA）项目过程区域（Project PA）工程过程区域11个PA描述了系统安全工程中实施的与安全直接相关的活动 组织和项目过程区域（共11个）并不直接同系统安全相关，但常与11个工程过程区域一起用来度量系统安全队伍的过程能力成熟度83域维-工程类PA核实和确认安全（Verify and Validate Security）PA11明确安全需求（Specify Security Needs）PA10提供安全输入（Provide Security Input）PA09监视安全态势（Monitor Security Posture）PA08协调安全（Coordinate Secu

36、rity）PA07建立保证论据（Build Assurance Argument)PA06评估脆弱性（Assess Vulnerability）PA05评估威胁（Assess Threat）PA04评估安全风险（Assess Security Risk)PA03评估影响（Assess Impact）PA02管理安全控制（Administer Security Controls）PA01风险过程工程过程保证过程84域维-项目类和组织类PA与供应商协调PA22提供持续发展的技能和知识PA21管理系统工程支持环境PA20管理产品系列进化PA19改进组织的系统工程过程PA18定义组织的系统工程过程PA

37、17计划技术活动PA16监视和控制技术活动PA15管理项目风险PA14管理配置PA13保证质量PA12项目过程组织过程85计划执行规范化执行跟踪执行验证执行定义标准过程协调安全实施执行已定义的过程建立可测量的质量目标客观地管理过程的执行1非正规执行2计划与跟踪3充分定义4量化控制5连续改进执行基本实施改进组织能力改进过程的有效性能力级别代表安全工程组织的成熟级别 公共特征未实施0能力级别86SSE-CMM的使用 SSE-CMM可应用于所有从事某种形式的安全工程组织，这种应用与生命期、范围、环境或专业无关。该模型适用于以下三种方式：“评定评定”，允许获取组织了解潜在项目参加者的组织层次上的安全工

38、程过程能力。“改进改进”，使安全工程组织获得自身安全工程过程能力级别的认识，并不断地改进其能力。“保证保证”，通过有根据地使用成熟过程，增加可信产品、系统和服务的可信度。87 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准88八、信息安全工程实践89信息安全工信息安全工程监理程监理安全工安全工程实施程实施实践实践知识域知识域知识子域知识子域课程名称课程名称信息安全工程信息安全工程实践实践信息安全工程各方职责信息安全工程各方职责监理阶段目标监理阶段目标I

39、SSE安全工程过程安全工程过程信息系统定义与描述信息系统定义与描述信息系统安全性验证与认可信息系统安全性验证与认可信息系统安全监控与保持信息系统安全监控与保持信息系统安全需求提取信息系统安全需求提取安全措施设计与部署安全措施设计与部署信息安全工程监理模型信息安全工程监理模型信息系统安全工程ISSE发掘信息保护需求确定系统安全要求设计系统安全体系结构开展详细安全设计评估信息保护有效性实施系统安全90信息安全工程监理模型 信息安全工程监理阶段、监理管理和控制手段和监理支撑要素 主 题一、信息安全保障基本知识二、信息安全保障实践三、信息安全管理体系四、信息安全风险管理五、基本信息安全管理六、重要信息

40、安全管理措施七、安全工程原理八、安全工程实践九、法律法规十、安全标准92九、信息安全法规、政策与道德规范93信息安全法信息安全法规与政策规与政策知识体知识体知识域知识域信息安全信息安全法律法规法律法规知识子域知识子域国家信息安全法治总体情况国家信息安全法治总体情况等级保护有关政策规范等级保护有关政策规范风险评估有关政策规范风险评估有关政策规范信息安全信息安全国家政策国家政策现行重要信息安全法规现行重要信息安全法规电子政务与重要信息系统信息安全政策电子政务与重要信息系统信息安全政策国家信息安全保障总体方针国家信息安全保障总体方针道德规范道德规范信息安全从业信息安全从业人员道德规范人员道德规范通行

41、道德规范通行道德规范CISP职业道德准则职业道德准则计算机使用道德规范计算机使用道德规范因特网使用道德规范因特网使用道德规范 信息安全从业人员基本道德规范信息安全从业人员基本道德规范宪法中的有关规定 宪法 第二章 公民的基本权利和义务 第40条 公民的通信自由和通信秘密受法律的保护。除因国家安全或者追查刑事犯罪的需要，由公安机关或者检察机关依照法律规定的程序对通信进行检查外，任何组织或者个人不得以任何理由侵犯公民的通信自由和通信秘密。94刑法中的有关规定（1）刑法 第六章 妨碍社会管理秩序罪 第一节 扰乱公共秩序罪 第285、286、287条 285条：非法侵入计算机信息系统罪；非法获取计算机

42、信息系统数据、非法控制计算机信息系统罪；提供侵入、非法控制计算机信息系统程序、工具罪。违反国家规定，侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的，处三年以下有期徒刑或者拘役。违反国家规定，侵入前款规定以外的计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。提供专门用于侵入、非法控制计算机信息系统的程序、工具，或者明知他人实施侵入、非法控制计算机信息系统的违法犯罪行为而为其提供程序、工具，情节严重的，依

43、照前款的规定处罚。95刑法中的有关规定（2）刑法 第六章 妨碍社会管理秩序罪 第一节 扰乱公共秩序罪 第285、286、287条 286条：破坏计算机信息系统罪。违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。违反国家规定，对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，依照前款的规定处罚。故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，依照第一款的规定处罚。287条：利用计算机实施犯罪的提示性规定。利用

44、计算机实施金融诈骗、盗窃、贪污、挪用公款、窃取国家秘密或者其他犯罪的，依照本法有关规定定罪处罚。96治安管理处罚法中的有关规定 治安管理处罚法 第三章 违反治安管理的行为和处罚 第一节 扰乱公共秩序的行为和处罚 第29条 有下列行为之一的，处五日以下拘留；情节较重的，处五日以上十日以下拘留：（一）违反国家规定，侵入计算机信息系统，造成危害的；（二）违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行的；（三）违反国家规定，对计算机信息系统中存储、处理、传输的数据和应用程序进行删除、修改、增加的；（四）故意制作、传播计算机病毒等破坏性程序，影响计算机信息系

45、统正常运行的。治安管理处罚法 其他规定（与非法信息传等播相关）：第42、47、68条97国家安全法中的有关规定 国家安全法 第二章 国家安全机关在国家安全工作中的职权 第10、11条 第10条 国家安全机关因侦察危害国家安全行为的需要，根据国家有关规定，经过严格的批准手续，可以采取技术侦察措施。第11条 国家安全机关为维护国家安全的需要，可以查验组织和个人的电子通信工具、器材等设备、设施。法律98保守国家秘密法（保密法 1）演进 保守国家秘密暂行条例（1951年）保守国家秘密法（1989年）保守国家秘密法（2019年修订，4月29日修订，10月1日施行）主旨（总则）目的：保守国家秘密，维护国家

46、安全和利益。国家秘密是关系国家安全和利益，依照法定程序确定，在一定时间内只限一定范围的人员知悉的事项。国家秘密受法律保护。一切国家机关、武装力量、政党、社会团体、企业事业单位和公民都有保守国家秘密的义务。国家保密行政管理部门主管全国的保密工作。国家机关和涉及国家秘密的单位（以下简称机关、单位）管理本机关和本单位的保密工作。保密工作责任制：健全保密管理制度，完善保密防护措施，开展保密宣传教育，加强保密检查。法律99保守国家秘密法（保密法 2）国家秘密的范围 国家事务、国防武装、外交外事、政党秘密 国民经济和社会发展、科学技术 维护国家安全的活动、经保密主管部门确定的事项等 国家秘密的密级 绝密-

47、是最重要的国家秘密，泄露会使国家安全和利益遭受特别严重的损害；保密期限不超过30年；机密-是重要的国家秘密，泄露会使国家安全和利益遭受严重的损害；保密期限不超过20年；秘密-是一般的国家秘密，泄露会使国家安全和利益遭受损害；保密期限不超过10年。国家秘密的其他基本属性 定密权限（定密责任人）、保密期限、解密条件、知悉范围 国家秘密载体、国家秘密标志法律100保守国家秘密法（保密法 3）保密制度 对国家秘密载体的行为要求；对属于国家秘密的设备、产品的行为要求；对存储、处理国家秘密的计算机信息系统的要求-分级保护；对组织和个人的行为要求（涉密信息系统管理、国家秘密载体管理、公开发布信息、各类涉密采

48、购、涉密人员分类管理、保密教育培训、保密协议等）；对公共信息网络及其他传媒的行为要求；对互联网及其他公共信息网络运营商、服务商的行为要求。监督管理 国家保密行政管理部门依照法律、行政法规的规定，制定保密规章和国家保密标准。组织开展保密宣传教育、保密检查、保密技术防护和泄密案件查处工作，对机关、单位的保密工作进行指导和监督。法律101保守国家秘密法（保密法 4）法律责任（第48条 人员处分及追究刑责）（一）非法获取、持有国家秘密载体的；（二）买卖、转送或者私自销毁国家秘密载体的；（三）通过普通邮政、快递等无保密措施的渠道传递国家秘密载体的；（四）邮寄、托运国家秘密载体出境，或者未经有关主管部门批

49、准，携带、传递国家秘密载体出境的；（五）非法复制、记录、存储国家秘密的；（六）在私人交往和通信中涉及国家秘密的；（七）在互联网及其他公共信息网络或者未采取保密措施的有线和无线通信中传递国家秘密的；（八）将涉密计算机、涉密存储设备接入互联网及其他公共信息网络的；（九）在未采取防护措施的情况下，在涉密信息系统与互联网及其他公共信息网络之间进行信息交换的；（十）使用非涉密计算机、非涉密存储设备存储、处理国家秘密信息的；（十一）擅自卸载、修改涉密信息系统的安全技术程序、管理程序的；（十二）将未经安全技术处理的退出使用的涉密计算机、涉密存储设备赠送、出售、丢弃或者改作其他用途的。有前款行为尚不构成犯罪，

50、且不适用处分的人员，由保密行政管理部门督促其所在机关、单位予以处理。法律102全国人大关于维护互联网安全的决定 背景 互联网日益广泛的应用，对于加快我国国民经济、科学技术的发展和社会服务信息化进程具有重要作用。如何保障互联网的运行安全和信息安全问题已经引起全社会的普遍关注。互联网安全的范畴（法律约束力）互联网的运行安全（侵入、破坏性程序、攻击、中断服务等）国家安全和社会稳定（有害信息、窃取/泄露国家秘密、煽动、非法组织等）市场经济秩序和社会管理秩序（销售伪劣产品/虚假宣传、损害商业信誉、侵犯知识产权、扰乱金融秩序、淫秽内容服务等）个人、法人和其他组织的人身、财产等合法权利（侮辱或诽谤他人、非法